Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 11 OCT · 00:29

CVE-2026-108707 Evasión de autenticación en Wukong_HRM mediante ParamAspect

Wukong_HRM hasta el commit 186115e tiene una falla de evasión de autenticación en ParamAspect que permite a atacantes no autenticados llamar a todos los endpoints de la API de HRM omitiendo el encabezado AUTH-TOKEN. El atacante obtiene acceso de administrador de RR. HH. para leer recibos de sueldo, historial salarial y datos personales de empleados, descargar adjuntos y modificar o eliminar registros de RR. HH. de toda la empresa.

9.8CRÍTICA

CVSS 3.1

  • CVSS 4.09.3 · crítica
  • Probabilidad de explotación0,6 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • WuKongOpenSource Wukong_HRM

    hasta 186115e1a5a0b827ad9596ff8c2f3a876fb0cc55

Qué hacer

  1. Verificá si usás Wukong_HRM y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadAlta

CVSS 4.0 · 9.3 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Alta
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Wukong_HRM through commit 186115e contains an authentication bypass vulnerability in ParamAspect that allows unauthenticated attackers to call every HRM API endpoint by omitting the AUTH-TOKEN header. Attackers gain HR administrator access to read payslips, salary history and employee personal data, download attachments, and modify or delete company-wide HR records.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.